أين
تُخزَّن كل بيانات المتاجر والأعضاء على Render في فرانكفورت، ألمانيا، داخل الاتحاد الأوروبي. ويعترف القانون البريطاني بأن الاتحاد الأوروبي يحمي البيانات الشخصية بالمستوى نفسه الذي تحميها به المملكة المتحدة. وتُقدَّم صور البطاقات والصفحات الثابتة من المكان نفسه. وتتلقى Apple وGoogle ما هو موجود على البطاقة نفسها، بصفتهما جهتين متحكّمتين مستقلتين في خدمات Wallet الخاصة بهما. والقائمة الكاملة للشركات التي تتعامل مع البيانات، مع المناطق والضمانات، موجودة في صفحة المعالِجين الفرعيين.
كيف
كل سجل يتبع متجرًا واحدًا، وطبقة البيانات ترفض الإجابة دون تحديده. وفي كل إصدار، يسجّل اختبار آلي الدخول باسم المتجر A ويستدعي كل مسار بمعرّفات المتجر B.
TLS 1.2 أو أحدث أثناء النقل مع HSTS. وتشفير الأقراص أثناء التخزين، إضافةً إلى تشفير على مستوى التطبيق للبريد الإلكتروني والهاتف وتاريخ الميلاد ورموز الإشعارات وأسرار 2FA، مع فهرس أعمى لعمليات البحث.
لا كلمات مرور. رمز بالبريد الإلكتروني، أو تسجيل الدخول عبر Apple أو Google، ثم 2FA للمالكين والمديرين. ويستخدم الموظفون رمز PIN مُجزّأً. ويمكن إلغاء الجلسات.
كل عملية كتابة تُضاف إلى سجل تدقيق. ولا يصل موظفونا إلى بيانات الأعضاء إلا عبر تحقق إضافي، مع تسجيل كل عملية اطلاع.
استعادة إلى أي نقطة زمنية، مع تمرين استعادة كل ربع سنة.
كل مكوّن مثبَّت على إصدار محدّد، مع تنبيهات آلية بالثغرات، وتحديثات أسبوعية.
ما لم يُنجَز بعد
- لا يوجد تقرير SOC 2 خاص بنا؛ ومزوّدو الاستضافة لدينا يملكون تقاريرهم.
- اختبار اختراق خارجي مجدول قبل الإطلاق العام؛ وسيُنشر ملخصه هنا مع التاريخ.
- تقييم الأثر على حماية البيانات في مرحلة المسودة، وستُضاف الإشارة إليه هنا عند اكتماله.
- ISO 27001 غير مخطط له في السنة الأولى.
الإبلاغ عن ثغرة
راسل admin@storewallet.co.uk، أو اطّلع على /.well-known/security.txt. نؤكد الاستلام خلال يومي عمل، ونُبقيك على اطلاع، وننسب الفضل إليك إن رغبت. يُرجى عدم الوصول إلى بيانات الآخرين أثناء الاختبار.
إذا حدث خطأ ما
نُبلغ المتاجر المتأثرة خلال 48 ساعة من علمنا بأي خرق للبيانات الشخصية، بما نعرفه وما نفعله، وندعم المتجر في إبلاغه الخاص إلى ICO خلال مهلة الـ 72 ساعة التي يسمح بها القانون.